كشفت شركة Google عن تسجيل 75 ثغرة أمنية من نوع “زيرو-داي” تم استغلالها فعليًا خلال عام 2024، مقارنة بـ98 ثغرة تم استغلالها في عام 2023، ما يشير إلى انخفاض نسبي.
لكن المثير للقلق هو أن 44% من هذه الثغرات استهدفت منتجات موجهة للمؤسسات، وخاصة برامج وأجهزة الأمن السيبراني.
تصاعد استهداف منتجات أمن المؤسسات
بحسب تقرير Google Threat Intelligence Group (GTIG)، فإن 20 ثغرة زيرو-داي تم استغلالها داخل برمجيات الحماية والأجهزة الأمنية، من بينها منتجات لشركات معروفة مثل Ivanti وPalo Alto Networks وCisco.
قال خبراء GTIG:
“أدوات الأمن والشبكات مصممة للربط بين الأنظمة واسعة الانتشار وتتطلب صلاحيات عالية لإدارتها، ما يجعلها أهدافًا ثمينة للجهات الخبيثة الساعية لاختراق الشبكات المؤسسية بكفاءة.”
تراجع استغلال المتصفحات والأجهزة المحمولة
أشار التقرير إلى انخفاض ملحوظ في عدد الثغرات المستغلة داخل:
-
المتصفحات: انخفضت بنحو الثلث مقارنة بعام 2023.
-
الأجهزة المحمولة: تراجع الاستغلال بمقدار النصف.
ومع ذلك، تواصل سلاسل الاستغلال (exploit chains) المكوّنة من عدة ثغرات زيرو-داي استهداف الهواتف المحمولة بنسبة تقارب 90%.
تفاصيل التوزيع حسب المنتجات:
-
Windows من Microsoft: 22 ثغرة
-
متصفح Chrome: 7 ثغرات
-
نظام Android: 7 ثغرات (3 منها في مكونات تابعة لجهات خارجية)
-
Apple Safari: 3 ثغرات
-
iOS: ثغرتان
-
Firefox من Mozilla: ثغرة واحدة
أبرز الجهات المستهدفة في 2024
تم استهداف 18 شركة تقنية مختلفة، مقارنة بـ 22 في 2023. الشركات الأكثر استهدافًا كانت:
-
Microsoft: 26 ثغرة
-
Google: 11 ثغرة
-
Ivanti: 7 ثغرات
-
Apple: 5 ثغرات
من يقف وراء الاستغلال؟
تم تتبع 34 من أصل 75 ثغرة إلى ست مجموعات تهديد رئيسية:
-
تجسس ترعاه دول (10 حالات) – بقيادة:
-
الصين (5)
-
روسيا (1)
-
كوريا الجنوبية (1)
-
-
شركات مراقبة تجارية (8 حالات)
-
مجموعات مالية غير حكومية (5 حالات)
-
مجموعات كورية شمالية تجمع بين التجسس والدوافع المالية (5 حالات)
-
مجموعات روسية بتمويل غير حكومي وتقوم بتجسس مالي (2 حالة)
هجمات بارزة في 2024:
-
أكاديمية أوكرانيا الدبلوماسية تعرّضت لزرع كود خبيث عبر JavaScript استهدف ثغرتين في WebKit (CVE-2024-44308 وCVE-2024-44309)، ما أدى إلى تنفيذ هجوم XSS وسرقة ملفات تعريف الدخول إلى موقع Microsoft Online.
-
متصفحي Firefox وTor تعرضا لسلسلة استغلال عبر ثغرتين (CVE-2024-9680 وCVE-2024-49039)، ما مكّن الجهات المهاجمة من كسر الحماية وتنفيذ كود خبيث بنظام صلاحيات مرتفعة.
الهجوم نُسب إلى مجموعة التهديد المعروفة باسم RomCom (وتُعرف أيضًا بـ: Storm-0978، Tropical Scorpius، UAC-0180، UNC2596، وVoid Rabisu)، والتي تصنفها Google ضمن مجموعة CIGAR، التي تجمع بين أهداف مالية وتجسسية.
مستقبل زيرو-داي: هل نتجه نحو الاستقرار أم تصعيد جديد؟
قال كيسي شارييه، المحلل الأول في GTIG:
“رغم استمرار استغلال ثغرات زيرو-داي بوتيرة بطيئة لكن ثابتة، فإن جهود بعض البائعين بدأت تؤتي ثمارها في تقليل الثغرات في المنتجات الشائعة.
في المقابل، بدأ المهاجمون بتوجيه جهودهم نحو استهداف منتجات المؤسسات بشكل متزايد، مما يستدعي من الشركات التقنية تنويع جهود الحماية.”
